SlideShare uma empresa Scribd logo
1




                   IMPLANTAÇÃO DE GOVERNANÇA DE TI
André Luiz Guimarães dos Reis 11               João Souza Neto 21                   Tomas Roberto C. Orlandi 31
    andrer@correios.com.br                   szneto@correios.com.br                 tomasroberto@correios.com.br
                     1 Empresa Brasileira de Correios e Telégrafos (ECT), Brasília, DF, Brasil



   RESUMO

   Este trabalho tem por objetivo apresentar como a ECT vem utilizando o Framework CobiT como
   arcabouço de sua Governança de TI, por meio da identificação do nível de maturidade dos processos
   internos de TI, iniciada em 2005, quando a Diretoria de Tecnologia avaliou os 34 processos do CobiT
   3.0, gerando o Diagnóstico de Maturidade. Este trabalho propiciou conhecer o nível de alinhamento
   da área de TI com os negócios da empresa e identificar o nível de maturidade dos principais controles
   de TI. Foram selecionados 13 processos que figuravam com baixo nível de maturidade e com
   possibilidade de causarem prejuízos ao sucesso das soluções de TI que apóiam os negócios da
   empresa. Assim, iniciou-se um Plano de Melhoria de processo sob a ótica da mais nova versão CobiT
   4.0, onde serão implementados novos controles detalhados e otimizados, possibilitando que a área de
   TI apóie o alcance das metas de negócios da organização.

   Palavras-chave: Framework CobiT; Governança de TI; Diagnóstico de Maturidade; CobiT 4.0.

   1.   INTRODUÇÃO
           A ECT iniciou o uso do framework CobiT através da área de auditoria interna da
   empresa, que efetuou pesquisas sobre a possibilidade de utilização deste Framework no início
   do ano 2000. Após dois anos, realizou-se a primeira auditoria nos departamentos da Diretoria
   de Tecnologia (DITEC) usando o CobiT 3.0, com o intuito de avaliar e emitir opinião acerca
   da eficiência dos controles internos adotados pela TI e implementar novos controles para
   aperfeiçoar a gestão da área. Posteriormente, a área de auditoria integrou aos seus
   procedimentos o anexo Audit Guideline da terceira edição do CobiT.
          Em 2004 houve a reestruturação da DITEC, tendo a Governança de TI (CobiT) como
   um dos seus pilares. Após realizar vários treinamentos, palestras e sensibilização em relação
   ao CobiT nos mais diversos níveis da organização, a Alta Administração percebeu que a
   solução de certos problemas da área de TI só seriam resolvidos com a adoção de uma
   abordagem sistêmica e integrada.
          Assim, foram identificadas algumas motivações para implementação de práticas de
   governança de TI na organização: aumento da competitividade no ramo postal; necessidade de
   melhoria da qualidade dos serviços postais que dependem de implementação de TI; redução
   dos prazos de entrega de serviços; melhoria contínua do nível de serviços; maior segurança da
   informação; diminuição de custos operacionais; aumento do retorno sobre os investimentos
   dentre outras.
           No início de 2005 a DITEC decidiu usar o CobiT para implementar a avaliação de
   todos os seus processos de TI. Para que houvesse a implementação de um trabalho com
   resultado imparcial e proficiente, optou-se pela contratação de uma consultoria externa
   especializada no assunto, para levantar todos os processos contidos no CobiT 3.0, criar um
   Diagnóstico de Maturidade e elaborar um Guia de Recomendações para efetivação de
   melhorias.
A partir do Diagnóstico de Maturidade iniciou-se o trabalho de amadurecimento da
área de TI para identificação dos processos tidos como críticos e necessários para a efetivação
de melhorias que, através de estudos estratégicos, originou a implementação do Plano de
Melhoria.

2.     INTRODUÇÃO AO COBIT

        O acrônimo CobiT, que significa Control Objectives for Information and related
Technology – Objetivos de Controle para Informações e Tecnologias relacionadas, é um
conjunto de estruturas e orientações (framework) focado na Governança Corporativa e na
necessidade de constituição de controles de melhorias nas empresas, sendo um guia para a
gestão de TI, abrangendo diretrizes de gerenciamento, objetivo de controle e diretrizes de
auditoria, CobiT 4.0 (2005).
       O CobiT foi desenvolvido pela Fundação ISACA e é mantido pelo ITGI - Instituto de
Governança de TI.

2.1.    Componentes do Framework do CobiT




      Segundo CobiT 4.0 (2005), os recursos
de TI são gerenciados pelos processos de TI
para alcançar os objetivos de TI que, por sua
vez, respondem aos requisitos de negócio da
organização. Este é o princípio básico do
Framework CobiT, conforme ilustrado pelo
cubo ao lado (Figura 1).



                                                    (Figura 1 – Cubo do CobiT, CobiT 4.0, 2005)
Processos de TI:
       Segundo o CobiT 4.0 (2005), os processos do CobiT agrupam as principais atividades
de TI em um modelo de processo, facilitando o gerenciamento dos recursos de TI para atender
as necessidades do negócio. Os processos de TI são definidos e classificados em 4 domínios:
Planejamento e Organização; Aquisição e Implementação; Entrega e Suporte;
Monitoração e Avaliação.
       Os 4 domínios do CobiT possuem 34 Processos (Figura 2) que especificam o que o
negócio precisa para alcançar seus objetivos. A entrega de informação é controlada por 34
objetivos de controle de alto nível, sendo um para cada processo.
(Figura 2 – Adaptação: CobiT 4.0, 2005)



   Critérios de informação

Requerimentos de qualidade:
• Eficiência: Refere-se à provisão da informação através da melhor (mais produtiva e
   econômica) forma de utilização dos recursos.
• Efetividade: Lida com a relevância da informação e pertinência aos processos de negócio
   bem como a sua disponibilidade em prazo apropriado, de forma correta, precisa,
   consistente e em formato adequado para utilização.

Requerimentos de segurança:
• Confidencialidade: Refere-se à proteção de informação privilegiada contra divulgação
   não autorizada.
• Integridade: Relaciona-se com a precisão e exatidão da informação, bem como sua
   validade de acordo com os padrões e expectativas de negócios estabelecidos.
• Disponibilidade: Relaciona-se a prover a informação no momento em que for requerida
   pelos processos de negócio, o que inclui também a salvaguarda dos recursos.

Requerimentos fiduciários:
• Conformidade: lida com o cumprimento das leis, regulamentos e cláusulas contratuais
   aos quais um determinado processo de negócio está sujeito.
• Confiabilidade: relaciona-se ao fornecimento, por parte dos sistemas, de informações
   apropriadas aos gerentes para a tomada de decisões, relatórios financeiros precisos e
   informações adequadas aos órgãos normatizadores sobre o cumprimento das leis.

    Recursos de TI

Pessoas: estão incluídos neste item: qualificações, conscientização, produtividade e
capacidade para planejar, organizar, adquirir, entregar, suportar e monitorar sistemas e
serviços.
Sistemas Aplicativos: é entendido como a soma de procedimentos manuais e
automatizados.
Tecnologia: cobre hardware, sistemas operacionais, gerenciadores de banco de dados, redes,
multimídia etc.
Instalações: recursos para abrigar e suportar os sistemas de informação.
Dados: objetos de dados na sua mais abrangente concepção, isto é, estruturados, não
estruturados, gráficos, sons etc.
2.2. Vantagens dos interessados no CobiT
Gerente Executivo   Complementar o modelo de controles internos existente e estabelecer
                    uma linguagem comum entre as áreas de negócios e TI.
Gerente de Negócios Usar os objetivos de controle como uma boa prática para lidar com TI
                    dentro da função de negócios e definir acordos de níveis de serviços.
Gerente de TI       Estabelecer Acordos de Níveis de Serviços, medidas de desempenho
                    e normas relacionadas à TI.
Gerente de Projetos Ajudar a assegurar que os planos de projetos incorporem fases
                    geralmente aceitas.
Desenvolvedor       Assegurar que todos os objetivos de controle aplicáveis no
                    desenvolvimento de projetos foram enderaçados.
Usuários            Ajudar na definição dos Acordos de Níveis de Serviços.
Security Officer    Estruturar as políticas e procedimentos de segurança da informação.
Auditoria           Usar como critério para revisão e exame das auditorias relacionadas
                    com TI.
2.3.    Produtos do CobiT
                      Explica como o CobiT organiza os objetivos da Governança de TI e
Framework             melhores práticas através de domínios e processos, e os relaciona aos
                      requerimentos de negócios.
                      Provê as práticas genéricas de gerenciamento de objetivos para todas
Objetivos de Controle as atividades de TI.
                      Provê direcionamento em como os controles são implantados e porque
Práticas de Controle  implantá-los.
Guia de Garantia da   Provê uma aproximação genérica para auditoria e direcionamento de
TI                    suporte a auditorias de todos os processos de TI do CobiT.
Objetivos de controle   Direcionamento para garantir conformidade para o ambiente de TI,
de TI para Sarbanes-    baseando nos objetivos de controle do CobiT.
Oxley
Guia de                 Provê um road map genérico para implementar Governança de TI
Implementação de        usando os recursos do CobiT e um kit de ferramentas de suporte.
Governança de TI
CobiT Security          Foca a organização nos passos essenciais para implantação da
Baseline                segurança da informação na empresa.
                        Apresenta informações do Cobit na web, possibilitando que vários
                        usuários pesquisem, compartilhem e utilizem sua base de
CobiT Online            conhecimento, documentos de benchmark, análise de gap e roadmaps.
                        disponível em: www.isaca.org.
                        Versão resumida dos recursos do CobiT. É focado nos processos de
                        TI, objetivos de controle e métricas. Direcionado para empresa de
CobiT QuickStart
                        pequeno e médio porte. Disponível a partir do CobiT online na
                        internet.
2.4.    Modelo de Maturidade

       Segundo o CobiT 4.0 (2005), o modelo de maturidade é usado para definir o perfil da
empresa em relação aos controles adotados para os processos de TI. Ele classifica os
processos numa escala de números inteiros de 1 a 5, baseada no modelo elaborado pelo
Software Engineering Institute para avaliar a função de desenvolvimento de sistemas. Este
modelo fornece um método de avaliação para cada um dos 34 processos de TI, definidos pelo
CobiT, de forma que a organização possa se enquadrar em uma escala mensurável. A seguir
(Figura 3) apresentamos os níveis de maturidade considerados e suas definições:




                             (Figura 3 – Adaptação: CobiT 4.0, 2006)


3.     PRIMEIRO DIAGNÓSTICO DE MATURIDADE DOS PROCESSOS DE TI

        Em 2005 iniciou-se o trabalho de Diagnóstico de Maturidade dos processos de TI com
base no CobiT – guia de melhores práticas, aplicada pela empresa de consultoria BIG-FIVE,
com apoio da assessoria da DITEC. As atividades foram conduzidas em Brasília, na
Administração Central dos Correios, e grande parte das informações foi obtida por meio de
entrevistas com os principais gestores de TI, análise de documentos e uso de questionários
específicos relacionados aos 4 domínios do CobiT 3.0: Planejamento e Organização (PO),
Aquisição & Implementação (AI), Entrega & Suporte (DS) e Monitoramento (M).
Perfazendo-se um total de 34 processos de TI e 318 objetivos de controle avaliados e
medidos.
       Abaixo (Figura 4) é apresentado o resultado geral do Diagnóstico de Maturidade dos
processos de TI da ECT levantados, de acordo com a metodologia CobiT e comparados ao
mercado (benchmarking), considerando os dados disponíveis e atualizados do CobiT Online,
que possui informações atualizadas sobre empresas divididas por setor, tamanho, número de
funcionários etc.
        Com o resultado do Diagnóstico de Maturidade também foi possível identificar que os
processos da área de TI da ECT apresentam nível de maturidade superior ou equivalente aos
das empresas nacionais e internacionais constantes da base de dados da ISACA. O
diagnosticou apontou que dois processos (PO08 e PO09), menos de 6%, estão abaixo da
média. Outros 23% dos processos superaram a média internacional, são eles: PO1, PO2, AI3,
AI4, DS8, DS12, DS13 e M4.
Nível de Maturidade - Domínio

                           Planejamento e Organização

                            Aquisição & Implementação

                                    Entrega & Suporte

                                       Monitoramento

                                                        0   1          2         3       4     5


                                                            Correios       Americas e Europa


               (Figura 4 – Adaptação: Diagnóstico de Maturidade ECT – BIGFIVE, 2005)


4.   IMPLANTAÇÃO DA METODOLOGIA PADRONIZADA COBIT DE GESTÃO
       DE TI
       Não obstante o Diagnóstico de Maturidade, ter apresentado resultado superior ou
equivalente à média internacional, a DITEC entendeu como necessário atingir melhoria nos
26 processos identificados com nível de maturidade 1 e 2, elevando-os para o nível de
maturidade 3. Conforme o CobiT 4.0 (2005), no nível de maturidade 3 os processos devem
ser padronizados, documentados e comunicados e, coube a uma equipe específica da DITEC,
que trabalha exclusivamente com Governança de TI, identificar os meios para elevação dos
processos selecionados.
        Para que houvesse a identificação dos processos mais críticos para efetivação de
melhorias, foram realizados trabalhos de alinhamento dos objetivos de negócio da
organização, originados no BSC Corporativo, com os objetivos e processos de TI do CobiT
4.0. Também foram desenvolvidas atividades de análise de riscos, que originaram várias
discussões de viabilidade de atuação dos departamentos da DITEC na estruturação de um
Plano de Melhoria, bem como justificativas para sua realização. Como resultado deste
trabalho foram selecionados, inicialmente, 13 processos prioritários baseados na metodologia
CobiT 4.0.
        A meta atual da DITEC é que após a implementação deste Plano de Melhoria dos 13
processos selecionados, haverá um trabalho contínuo de acompanhamento e implementação
de melhoria nos processos de TI da organização, através de atividades de identificação de
processos prioritários, manutenção dos processos que já se encontram com nível de
maturidade considerado adequado à organização e realização de Diagnóstico de Maturidade
através de consultoria externa de dois em dois anos. Criando, assim, um processo contínuo de
melhoria, semelhante a um ciclo de melhoria PDCA dado ser reconhecido como um
instrumento valioso de controle e melhoria de processos das organizações, Souza &
Mekbekian (1993).
        A adaptação do método PDCA em relação à estrutura dos processos e controles do
CobiT (Figura 6), com o intuito de efetivação de melhoria contínua dos processos pode ser
verificada a seguir.
(Figura 6 – Adaptação: CobiT 4.0)

5.     PLANO DE MELHORIA

5.1.     Premissas e Barreiras
                                                   Impacto caso a Premissa não seja
                    Premissa
                                                   verdadeira
     Apoio da DITEC no direcionamento do           Perda de prioridade do projeto em relação à
     trabalho.                                     organização, com conseqüente falta de apoio
                                                   na sua concretização.
     Existência de uma equipe interna da           A falta de dedicação do grupo de melhoria irá
     Coordenação de Arquitetura de Gestão          trazer atrasos no cronograma ou a paralisação
     de TI dedicada ao projeto de melhoria.        do projeto.
     Alta competência dos consultores              A inexistência de tal premissa colocará em
     externos no planejamento e execução           risco a qualidade final do trabalho.
     das atividades.

                  Barreira                          Estratégia para Redução da Barreira
     Falta de apoio dos departamentos em            Será elaborada uma iniciativa motivacional
     disponibilizar pessoal para apoiar a           por parte da DITEC.
     atividade     de     Diagnóstico     de
     Maturidade.
     Falta de pessoal técnico especializado         Contratação e treinamento de novos
     nos     departamentos      para     dar        funcionários de acordo com as necessidades
     continuidade as atividades definidas no        definidas no Plano de Melhoria.
     Plano de Melhoria.
5.2. Objetivos
 Os objetivos de negocio da ECT que direcionam o Plano de Melhoria são:
        Financeiro: Redução dos custos direcionados aos serviços de TI; Melhorar a
        possibilidade de tomada de decisões de investimentos em TI.
        Cliente: Melhoria da satisfação com os serviços prestados;
        Tecnologia da Informação: Melhoria dos processos abaixo.
          Processo                                  Objetivo
PO3 – DETERMINAR O           Alinhar o Plano Diretor de TI ao Planejamento Estratégico da
DIRECIONAMENTO               ECT. Devendo tratar sobre: Arquitetura de sistemas,
TECNOLÓGICO                  direcionamento tecnológico, estratégia de migração e aspectos
                             de contingência de componentes de infra-estrutura.
PO6 - COMUNICAR              Conscientizar a empresa sobre a importância do Plano de Infra-
DIRETIVAS E METAS            estrutura de TI.
GERENCIAIS
PO7 - GERENCIAR OS           Definir um plano de gerenciamento de recursos humanos.
RECURSOS HUMANOS DE
TI
PO9 - AVALIAR E              Criar processo de identificação, avaliação e mensuração de
GERENCIAR RISCOS DE TI riscos, evidenciando a probabilidade de ocorrência e o impacto
                             dos mesmos.
PO10 - GERENCIAR             Estabelecer, manter e divulgar a metodologia de Gerenciamento
PROJETOS                     de Projetos. Definir estrutura de Gerenciamento de Portfólio
                             para os investimentos de TI.
AI4 - PERMITIR OPERAÇÃO Definir método que trate sobre documentação e acesso aos
E USO                        manuais operacionais e materiais de treinamento.
AI6 – GERENCIAR                Implantar procedimento formal de Gestão de Mudanças, que
MUDANÇAS                       inclua categorização, priorização, procedimentos de emergência,
                               parâmetros de sistemas, base da plataforma, autorização de
                               mudanças e gerência de versão.
DS1 - DEFINIR E                Definir processo para formalizar a gerência de nível de serviço
GERENCIAR NÍVEIS DE            entre cliente e provedor de serviço.
SERVIÇO
DS2 – GERENCIAR        Formalizar as políticas e procedimentos relacionados ao
SERVIÇOS TERCEIRIZADOS gerenciamento de terceiros.
DS6 - IDENTIFICAR E    Criar Modelo de custos de serviços de informática definido e
DESTINAR CUSTOS        documentado na organização.
DS7 - EDUCAR E TREINAR Criar programa de treinamento bem institucionalizado,
USUÁRIOS               padronizado e comunicado. Os treinamentos deverão ser
                       monitorados.
DS11 – GERENCIAR DADOS Definir e implementar procedimentos que assegurem a
                       integridade e consistência de todos os dados armazenados
                       eletronicamente como bases de dados, DW’s e arquivos;
ME4 – PROVER           Implementar modelo de Governança de TI na organização
GOVERNANÇA DE TI       através da criação de controles e procedimentos.
5.3.    Atividades a serem realizadas durante o Plano de Melhoria:
                Diagnóstico do nível de maturidade dos 13 processos de TI selecionados.
                Atribuição do nível de maturidade em conformidade com as melhores práticas e
Fase 1
                comparação com a média de mercado. Nesta fase será identificada como a TI
                gerencia seus processos e o quanto está integrada aos objetivos de negócio.
                GAP Analysis – Mapeamento do nível de maturidade a ser atingido pela ECT
                (meta estratégica) e o nível de maturidade baseado nas melhores práticas
Fase 2
                (quando disponível).

                Plano de melhoria – Implementação dos controles detalhados para melhoria dos
Fase 3
                13 processos de TI selecionados, segundo o CobiT 4.0.

 5.4.    Estrutura organizacional




                                (Figura 7 – Escopo Organizacional)


 5.5.    Escopo de Processos
      O escopo do Plano de Melhoria está limitado aos seguintes processos baseados na
 metodologia CobiT 4.0:
  DOMINIO                                  Impacto caso a Premissa não seja verdadeira
  Planejamento e Organização          PO3 - Determinar o direcionamento tecnológico
                                      PO6 - Comunicar objetivos e metas gerenciais
                                      PO7 - Gerenciar os recursos humanos
                                      PO9 – Avaliar e gerenciar riscos
                                      PO10 - Gerenciar projetos
  Aquisição e implementação           AI4 - Habilitar operação e uso
                                      AI6 - Gerenciar mudanças
  Entrega e Suporte                   DS1 - Definir e gerenciar níveis de serviço
                                      DS2 - Gerenciar serviços terceirizados
                                      DS6 - Identificar e alocar custos
                                      DS7 - Educar e treinar usuários
                                      DS11 - Gerenciar dados
  Monitoramento e Avaliação           ME4 - Prover governança de TI
5.6.   Produtos gerados no Plano de Melhoria
Questionário Script de Avaliação do Processo: usado no direcionamento das entrevistas
(Figura 10) junto aos responsáveis e envolvidos nos processos. O questionário deve explorar
as necessidades para avaliação do nível de maturidade de cada objetivo de controle,
pontuando conforme o modelo de nível de maturidade (0 a 5). No final da avaliação dos
objetivos de controles somará o nível de maturidade encontrado em cada objetivo de controle
e dividir pelo número de objetivos de controle existente no processo para identificar o nível de
maturidade do processo avaliado.




                        (Figura 10 – Questionário Script de Avaliação dos Processos)

Questionário de Entendimento do Processo: usado durante as entrevistas para auxiliar na
identificação do nível de maturidade dos objetivos de controles (Figura 11).




                       (Figura 11 – Questionário de Entendimento do Processo)

Questionário de Avaliação do Processo: Baseado no resultado obtido através da aplicação
dos questionários de script de avaliação do processo e o de entendimento do processo (Figura
12).
(Figura 12 – Questionário de Avaliação do Processo)


Relatório de Diagnóstico de Maturidade: abrangendo os 13 processos de TI selecionados.

       Serão abordados:
       • O nível de maturidade atual de cada processo;
       • Comparação com o padrão de mercado, melhores práticas e definição da meta
       estratégica com base nos dados disponibilizados pela ISACA através do CobiT Online.

Relatório de recomendações de melhoria: apresentando os esforços e ações que devem ser
implementados nos processos para atingir nível de maturidade superior, se necessários.

Plano de melhoria: contendo Mapeamento de processos de TI, formulários, procedimentos e
controles necessários para implementação de melhoria nos processos avaliados.

Relatório de implementação de melhoria: identificando a implementação de melhorias
efetivadas.

5.7.       Possíveis riscos

             Risco                            Potenciais formas de Mitigação e Contingência
       1. Falta de apoio da Diretoria         Mitigação: Relatórios periódicos para a diretoria para informar os avanços do
                                              Plano de Melhoria.
                                              Contingência: Escalar a Diretoria em reunião mensal ou pontual.
       2. Falta de interesse ou               Mitigação:
       disponibilidade         dos             1) Trabalho de conscientização da importância do Plano de Melhoria nos
       Departamentos envolvidos no            departamentos envolvidos;
       Plano de Melhoria de                   2) Relatórios periódicos para os departamentos informando sobre os avanços no
       Processos.                             Plano de Melhoria.
                                              Contingência: Escalar os Departamento em reunião mensal ou pontual.
       3. Falta de proficiência dos           Mitigação:     Informar contratada sobre o ocorrido, mostrar impacto no
       consultores externos.                  desenvolvimento dos trabalhos contratados e exigir melhorias.
                                              Contingência: Levantar possibilidade de troca de consultores, medindo impacto
                                              da ocorrência.
6.   CONCLUSÃO
         A utilização de um modelo de Governança de TI numa organização, mais
especificamente o CobiT, é normalmente implementada com a expectativa de melhorar os
processos de TI da organização, para obtenção do alinhamento da área de TI com o negócio,
além da entrega de valor à organização, redução de custos com a área de TI, maior segurança,
conformidade com normas regulatórias e manutenção e disponibilidade dos serviços de TI.

         O CobiT trata de todas essas iniciativas, além de propiciar integração com outros
frameworks de Governança mais específicos, como a ISO 17799 (Segurança da Informação),
ITIL (disponibilidade de serviços) e CMM/CMMI (qualidade de software), entre outros.
        Porém, o anseio por alcançar sucesso na área de TI com a utilização de framework
que dita “O que fazer” mas não “O como fazer” deve ser tratado com certa cautela.
Primeiramente, é preciso lembrar que o CobiT não é um padrão de mercado da área de TI,
mas sim, um sumário de melhores práticas, necessitando que a empresa consiga identificar,
dentro do seu contexto de atuação de mercado, cultura, objetivos estratégicos, conformidades
com leis e regulamentos e estrutura da área de TI, quais controles ditados pelo framework
melhor atendem às necessidades e realidade da organização.
         No caso da utilização do CobiT na Empresa Brasileira de Correios e Telegráfos não
foi diferente. A empresa procurou não pular etapas e desenvolveu pesquisas sobre as reais
possibilidades de agregação de valor do framework ao negócio da organização. E só agora,
com maior entendimento e maturidade do resultado de todos os trabalhos efetuados, tem
domínio em efetivar melhorias contínuas em seus processos, através de uma estrutura cíclica e
ordenada de melhoria.
        A organização entende que o CobiT, utilizado em conjunto com outros frameworks,
padrões e melhores práticas, está agregando valor aos variados negócios da ECT.

7.   REFERÊNCIAS

ITGI – IT GOVERNANCE INSTITUTE. COBIT 4.0. Rolling Meadowns, IL 60008 USA

SOUZA, R. & MEKBEKIAN, G. Metodologia de gestão da qualidade em empresas
construtoras. In: ENTAC93 – ENCONTRO NACIONAL DE TECNOLOGIA DO
AMBIENTE CONSTRUÍDO. São Paulo, 1993.

CAMPOS, V., F. Gerenciamento pelas Diretrizes. Belo Horizonte: Fundação Christiano
Ottoni, da Universidade Federal de Minas Gerais, 1996.

FUSCO, CAMILA. Computerworld. Correios aderem à versão 4.0 do CobiT.
Disponível em:
<http://computerworld.uol.com.br/governanca/2006/08/04/idgnoticia.2006-08-
04.9213790807/IDGNoticia_view>. Acessado em 14/08/2006.

FUSCO, CAMILA. Computerworld. Versão 4.0 do framework é ferramenta útil para
companhias que precisam se adequar a normas regulatórias como Sarbanes-Oxley. Disponível
em: http://computerworld.uol.com.br/governanca/2006/06/05/idgnoticia.2006-06-
05.2040710799/IDGNoticia_view. Acessado em 08/08/2006

BIG FIVE CONSULTING – Diagnóstico de maturidade dos processos de TI da ECT com
base no CobiT. Brasília, 2005.

Mais conteúdo relacionado

Mais procurados

Maturidade e Implantação do CobIT® - Prof. Maurílio Benevento
Maturidade e Implantação do CobIT® - Prof. Maurílio Benevento Maturidade e Implantação do CobIT® - Prof. Maurílio Benevento
Maturidade e Implantação do CobIT® - Prof. Maurílio Benevento
Sustentare Escola de Negócios
 
Governança de TI - Aula7 - COBIT 4.1 X COBIT 5
Governança de TI - Aula7 - COBIT 4.1 X COBIT 5Governança de TI - Aula7 - COBIT 4.1 X COBIT 5
Governança de TI - Aula7 - COBIT 4.1 X COBIT 5
CEULJI/ULBRA Centro Universitário Luterano de Ji-Paraná
 
NBR/ISO 27002, COBIT e ITIL
NBR/ISO 27002, COBIT e ITILNBR/ISO 27002, COBIT e ITIL
NBR/ISO 27002, COBIT e ITIL
Ciro Bacilla
 
Manuscrito Cobit
Manuscrito CobitManuscrito Cobit
Manuscrito Cobit
Kharylim Machado Sea
 
Apresentacao cobi t
Apresentacao cobi tApresentacao cobi t
Apresentacao cobi t
Miguel Aquino
 
Apostila Comparativo Entre Itil E Cobit
Apostila Comparativo Entre Itil E CobitApostila Comparativo Entre Itil E Cobit
Apostila Comparativo Entre Itil E Cobit
Fernando Palma
 
ITIL versus COBIT - Um breve comparativo
ITIL versus COBIT - Um breve comparativoITIL versus COBIT - Um breve comparativo
ITIL versus COBIT - Um breve comparativo
mvitor
 
Governanca de TI
Governanca de TIGovernanca de TI
Governanca de TI
Sandro Servino
 
Cobit2
Cobit2Cobit2
Aula 02 maturidade do cobit
Aula 02   maturidade do cobitAula 02   maturidade do cobit
Aula 02 maturidade do cobit
Maurilio Benevento
 
Cobit 5
Cobit 5Cobit 5
Curso preparatorio para a certificacao COBIT 4.1 Foundation
Curso preparatorio para a certificacao COBIT 4.1 Foundation Curso preparatorio para a certificacao COBIT 4.1 Foundation
Curso preparatorio para a certificacao COBIT 4.1 Foundation
Grupo Treinar
 
Cobit 4.0 visão geral
Cobit 4.0   visão geralCobit 4.0   visão geral
Cobit 4.0 visão geral
Tiago Andrade
 
A53740 estudo sobre o caso carreiray carreira
A53740   estudo sobre o caso carreiray carreiraA53740   estudo sobre o caso carreiray carreira
A53740 estudo sobre o caso carreiray carreira
Samuel Ribeiro
 

Mais procurados (14)

Maturidade e Implantação do CobIT® - Prof. Maurílio Benevento
Maturidade e Implantação do CobIT® - Prof. Maurílio Benevento Maturidade e Implantação do CobIT® - Prof. Maurílio Benevento
Maturidade e Implantação do CobIT® - Prof. Maurílio Benevento
 
Governança de TI - Aula7 - COBIT 4.1 X COBIT 5
Governança de TI - Aula7 - COBIT 4.1 X COBIT 5Governança de TI - Aula7 - COBIT 4.1 X COBIT 5
Governança de TI - Aula7 - COBIT 4.1 X COBIT 5
 
NBR/ISO 27002, COBIT e ITIL
NBR/ISO 27002, COBIT e ITILNBR/ISO 27002, COBIT e ITIL
NBR/ISO 27002, COBIT e ITIL
 
Manuscrito Cobit
Manuscrito CobitManuscrito Cobit
Manuscrito Cobit
 
Apresentacao cobi t
Apresentacao cobi tApresentacao cobi t
Apresentacao cobi t
 
Apostila Comparativo Entre Itil E Cobit
Apostila Comparativo Entre Itil E CobitApostila Comparativo Entre Itil E Cobit
Apostila Comparativo Entre Itil E Cobit
 
ITIL versus COBIT - Um breve comparativo
ITIL versus COBIT - Um breve comparativoITIL versus COBIT - Um breve comparativo
ITIL versus COBIT - Um breve comparativo
 
Governanca de TI
Governanca de TIGovernanca de TI
Governanca de TI
 
Cobit2
Cobit2Cobit2
Cobit2
 
Aula 02 maturidade do cobit
Aula 02   maturidade do cobitAula 02   maturidade do cobit
Aula 02 maturidade do cobit
 
Cobit 5
Cobit 5Cobit 5
Cobit 5
 
Curso preparatorio para a certificacao COBIT 4.1 Foundation
Curso preparatorio para a certificacao COBIT 4.1 Foundation Curso preparatorio para a certificacao COBIT 4.1 Foundation
Curso preparatorio para a certificacao COBIT 4.1 Foundation
 
Cobit 4.0 visão geral
Cobit 4.0   visão geralCobit 4.0   visão geral
Cobit 4.0 visão geral
 
A53740 estudo sobre o caso carreiray carreira
A53740   estudo sobre o caso carreiray carreiraA53740   estudo sobre o caso carreiray carreira
A53740 estudo sobre o caso carreiray carreira
 

Semelhante a 895 artigo seget_cobit

Governancati 110905200921-phpapp01-1
Governancati 110905200921-phpapp01-1Governancati 110905200921-phpapp01-1
Governancati 110905200921-phpapp01-1
Augusto Seixas
 
Simulado cobit41
Simulado cobit41Simulado cobit41
Simulado cobit41
Roginho Correa
 
Apresentação Cobit
Apresentação CobitApresentação Cobit
Apresentação Cobit
Marcus Waldson Freitas
 
Administraçao de sistemas unidade vi governanca de ti parte 1
Administraçao de sistemas  unidade vi governanca de ti parte 1Administraçao de sistemas  unidade vi governanca de ti parte 1
Administraçao de sistemas unidade vi governanca de ti parte 1
Vicente Willians Nunes
 
Cobit3
Cobit3Cobit3
Apostila cobit 5 v1.1
Apostila cobit 5   v1.1Apostila cobit 5   v1.1
Governança de TI para Otimização de Investimentos
Governança de TI para Otimização de InvestimentosGovernança de TI para Otimização de Investimentos
Governança de TI para Otimização de Investimentos
Audasi Tecnologia e Inovação
 
Gestão da Tecnologia da Informação - Atividade: Governança de TI
Gestão da Tecnologia da Informação - Atividade: Governança de TIGestão da Tecnologia da Informação - Atividade: Governança de TI
Gestão da Tecnologia da Informação - Atividade: Governança de TI
Alessandro Almeida
 
GovernaçA De T Ic
GovernaçA De T IcGovernaçA De T Ic
GovernaçA De T Ic
marciolins
 
Curso COBIT 4.1 Foundation em Sao Paulo - Synercorp
Curso COBIT 4.1 Foundation em Sao Paulo - SynercorpCurso COBIT 4.1 Foundation em Sao Paulo - Synercorp
Curso COBIT 4.1 Foundation em Sao Paulo - Synercorp
Grupo Treinar
 
Curso COBIT 4.1 Foundation em Alphaville - Synercorp
Curso COBIT 4.1 Foundation em Alphaville - SynercorpCurso COBIT 4.1 Foundation em Alphaville - Synercorp
Curso COBIT 4.1 Foundation em Alphaville - Synercorp
Grupo Treinar
 
Cobit e itil (1)
Cobit e itil (1)Cobit e itil (1)
Cobit e itil (1)
Rafaela Machado
 
Apostila itil cobit
Apostila itil cobit Apostila itil cobit
Apostila itil cobit
Marcus Fernando
 
Apostila ITIL - COBIT
Apostila ITIL - COBITApostila ITIL - COBIT
Apostila ITIL - COBIT
Tiago Henrique Ribeiro Ferreira
 
Apostila itil cobit
Apostila itil cobitApostila itil cobit
Apostila itil cobit
Kamilla Christtyne
 
Apostila itil cobit
Apostila itil cobitApostila itil cobit
Apostila itil cobit
Adriano Santos
 
A Implementação do Sistema de Governança de TI
A Implementação do Sistema de Governança de TIA Implementação do Sistema de Governança de TI
A Implementação do Sistema de Governança de TI
Blue Hawk - B&IT Management
 
Simulado cobit em português
Simulado cobit em portuguêsSimulado cobit em português
Simulado cobit em português
Fernando Palma
 
Apresentação Final
Apresentação FinalApresentação Final
Apresentação Final
Kharylim Machado Sea
 
Guia de estudo para exame de certificacao do Cobit 4.1 v7
Guia de estudo para exame de certificacao do Cobit 4.1 v7Guia de estudo para exame de certificacao do Cobit 4.1 v7
Guia de estudo para exame de certificacao do Cobit 4.1 v7
Rildo (@rildosan) Santos
 

Semelhante a 895 artigo seget_cobit (20)

Governancati 110905200921-phpapp01-1
Governancati 110905200921-phpapp01-1Governancati 110905200921-phpapp01-1
Governancati 110905200921-phpapp01-1
 
Simulado cobit41
Simulado cobit41Simulado cobit41
Simulado cobit41
 
Apresentação Cobit
Apresentação CobitApresentação Cobit
Apresentação Cobit
 
Administraçao de sistemas unidade vi governanca de ti parte 1
Administraçao de sistemas  unidade vi governanca de ti parte 1Administraçao de sistemas  unidade vi governanca de ti parte 1
Administraçao de sistemas unidade vi governanca de ti parte 1
 
Cobit3
Cobit3Cobit3
Cobit3
 
Apostila cobit 5 v1.1
Apostila cobit 5   v1.1Apostila cobit 5   v1.1
Apostila cobit 5 v1.1
 
Governança de TI para Otimização de Investimentos
Governança de TI para Otimização de InvestimentosGovernança de TI para Otimização de Investimentos
Governança de TI para Otimização de Investimentos
 
Gestão da Tecnologia da Informação - Atividade: Governança de TI
Gestão da Tecnologia da Informação - Atividade: Governança de TIGestão da Tecnologia da Informação - Atividade: Governança de TI
Gestão da Tecnologia da Informação - Atividade: Governança de TI
 
GovernaçA De T Ic
GovernaçA De T IcGovernaçA De T Ic
GovernaçA De T Ic
 
Curso COBIT 4.1 Foundation em Sao Paulo - Synercorp
Curso COBIT 4.1 Foundation em Sao Paulo - SynercorpCurso COBIT 4.1 Foundation em Sao Paulo - Synercorp
Curso COBIT 4.1 Foundation em Sao Paulo - Synercorp
 
Curso COBIT 4.1 Foundation em Alphaville - Synercorp
Curso COBIT 4.1 Foundation em Alphaville - SynercorpCurso COBIT 4.1 Foundation em Alphaville - Synercorp
Curso COBIT 4.1 Foundation em Alphaville - Synercorp
 
Cobit e itil (1)
Cobit e itil (1)Cobit e itil (1)
Cobit e itil (1)
 
Apostila itil cobit
Apostila itil cobit Apostila itil cobit
Apostila itil cobit
 
Apostila ITIL - COBIT
Apostila ITIL - COBITApostila ITIL - COBIT
Apostila ITIL - COBIT
 
Apostila itil cobit
Apostila itil cobitApostila itil cobit
Apostila itil cobit
 
Apostila itil cobit
Apostila itil cobitApostila itil cobit
Apostila itil cobit
 
A Implementação do Sistema de Governança de TI
A Implementação do Sistema de Governança de TIA Implementação do Sistema de Governança de TI
A Implementação do Sistema de Governança de TI
 
Simulado cobit em português
Simulado cobit em portuguêsSimulado cobit em português
Simulado cobit em português
 
Apresentação Final
Apresentação FinalApresentação Final
Apresentação Final
 
Guia de estudo para exame de certificacao do Cobit 4.1 v7
Guia de estudo para exame de certificacao do Cobit 4.1 v7Guia de estudo para exame de certificacao do Cobit 4.1 v7
Guia de estudo para exame de certificacao do Cobit 4.1 v7
 

895 artigo seget_cobit

  • 1. 1 IMPLANTAÇÃO DE GOVERNANÇA DE TI André Luiz Guimarães dos Reis 11 João Souza Neto 21 Tomas Roberto C. Orlandi 31 andrer@correios.com.br szneto@correios.com.br tomasroberto@correios.com.br 1 Empresa Brasileira de Correios e Telégrafos (ECT), Brasília, DF, Brasil RESUMO Este trabalho tem por objetivo apresentar como a ECT vem utilizando o Framework CobiT como arcabouço de sua Governança de TI, por meio da identificação do nível de maturidade dos processos internos de TI, iniciada em 2005, quando a Diretoria de Tecnologia avaliou os 34 processos do CobiT 3.0, gerando o Diagnóstico de Maturidade. Este trabalho propiciou conhecer o nível de alinhamento da área de TI com os negócios da empresa e identificar o nível de maturidade dos principais controles de TI. Foram selecionados 13 processos que figuravam com baixo nível de maturidade e com possibilidade de causarem prejuízos ao sucesso das soluções de TI que apóiam os negócios da empresa. Assim, iniciou-se um Plano de Melhoria de processo sob a ótica da mais nova versão CobiT 4.0, onde serão implementados novos controles detalhados e otimizados, possibilitando que a área de TI apóie o alcance das metas de negócios da organização. Palavras-chave: Framework CobiT; Governança de TI; Diagnóstico de Maturidade; CobiT 4.0. 1. INTRODUÇÃO A ECT iniciou o uso do framework CobiT através da área de auditoria interna da empresa, que efetuou pesquisas sobre a possibilidade de utilização deste Framework no início do ano 2000. Após dois anos, realizou-se a primeira auditoria nos departamentos da Diretoria de Tecnologia (DITEC) usando o CobiT 3.0, com o intuito de avaliar e emitir opinião acerca da eficiência dos controles internos adotados pela TI e implementar novos controles para aperfeiçoar a gestão da área. Posteriormente, a área de auditoria integrou aos seus procedimentos o anexo Audit Guideline da terceira edição do CobiT. Em 2004 houve a reestruturação da DITEC, tendo a Governança de TI (CobiT) como um dos seus pilares. Após realizar vários treinamentos, palestras e sensibilização em relação ao CobiT nos mais diversos níveis da organização, a Alta Administração percebeu que a solução de certos problemas da área de TI só seriam resolvidos com a adoção de uma abordagem sistêmica e integrada. Assim, foram identificadas algumas motivações para implementação de práticas de governança de TI na organização: aumento da competitividade no ramo postal; necessidade de melhoria da qualidade dos serviços postais que dependem de implementação de TI; redução dos prazos de entrega de serviços; melhoria contínua do nível de serviços; maior segurança da informação; diminuição de custos operacionais; aumento do retorno sobre os investimentos dentre outras. No início de 2005 a DITEC decidiu usar o CobiT para implementar a avaliação de todos os seus processos de TI. Para que houvesse a implementação de um trabalho com resultado imparcial e proficiente, optou-se pela contratação de uma consultoria externa especializada no assunto, para levantar todos os processos contidos no CobiT 3.0, criar um Diagnóstico de Maturidade e elaborar um Guia de Recomendações para efetivação de melhorias.
  • 2. A partir do Diagnóstico de Maturidade iniciou-se o trabalho de amadurecimento da área de TI para identificação dos processos tidos como críticos e necessários para a efetivação de melhorias que, através de estudos estratégicos, originou a implementação do Plano de Melhoria. 2. INTRODUÇÃO AO COBIT O acrônimo CobiT, que significa Control Objectives for Information and related Technology – Objetivos de Controle para Informações e Tecnologias relacionadas, é um conjunto de estruturas e orientações (framework) focado na Governança Corporativa e na necessidade de constituição de controles de melhorias nas empresas, sendo um guia para a gestão de TI, abrangendo diretrizes de gerenciamento, objetivo de controle e diretrizes de auditoria, CobiT 4.0 (2005). O CobiT foi desenvolvido pela Fundação ISACA e é mantido pelo ITGI - Instituto de Governança de TI. 2.1. Componentes do Framework do CobiT Segundo CobiT 4.0 (2005), os recursos de TI são gerenciados pelos processos de TI para alcançar os objetivos de TI que, por sua vez, respondem aos requisitos de negócio da organização. Este é o princípio básico do Framework CobiT, conforme ilustrado pelo cubo ao lado (Figura 1). (Figura 1 – Cubo do CobiT, CobiT 4.0, 2005) Processos de TI: Segundo o CobiT 4.0 (2005), os processos do CobiT agrupam as principais atividades de TI em um modelo de processo, facilitando o gerenciamento dos recursos de TI para atender as necessidades do negócio. Os processos de TI são definidos e classificados em 4 domínios: Planejamento e Organização; Aquisição e Implementação; Entrega e Suporte; Monitoração e Avaliação. Os 4 domínios do CobiT possuem 34 Processos (Figura 2) que especificam o que o negócio precisa para alcançar seus objetivos. A entrega de informação é controlada por 34 objetivos de controle de alto nível, sendo um para cada processo.
  • 3. (Figura 2 – Adaptação: CobiT 4.0, 2005) Critérios de informação Requerimentos de qualidade: • Eficiência: Refere-se à provisão da informação através da melhor (mais produtiva e econômica) forma de utilização dos recursos. • Efetividade: Lida com a relevância da informação e pertinência aos processos de negócio bem como a sua disponibilidade em prazo apropriado, de forma correta, precisa, consistente e em formato adequado para utilização. Requerimentos de segurança: • Confidencialidade: Refere-se à proteção de informação privilegiada contra divulgação não autorizada. • Integridade: Relaciona-se com a precisão e exatidão da informação, bem como sua validade de acordo com os padrões e expectativas de negócios estabelecidos. • Disponibilidade: Relaciona-se a prover a informação no momento em que for requerida pelos processos de negócio, o que inclui também a salvaguarda dos recursos. Requerimentos fiduciários: • Conformidade: lida com o cumprimento das leis, regulamentos e cláusulas contratuais aos quais um determinado processo de negócio está sujeito. • Confiabilidade: relaciona-se ao fornecimento, por parte dos sistemas, de informações apropriadas aos gerentes para a tomada de decisões, relatórios financeiros precisos e informações adequadas aos órgãos normatizadores sobre o cumprimento das leis. Recursos de TI Pessoas: estão incluídos neste item: qualificações, conscientização, produtividade e capacidade para planejar, organizar, adquirir, entregar, suportar e monitorar sistemas e serviços. Sistemas Aplicativos: é entendido como a soma de procedimentos manuais e automatizados. Tecnologia: cobre hardware, sistemas operacionais, gerenciadores de banco de dados, redes, multimídia etc. Instalações: recursos para abrigar e suportar os sistemas de informação.
  • 4. Dados: objetos de dados na sua mais abrangente concepção, isto é, estruturados, não estruturados, gráficos, sons etc. 2.2. Vantagens dos interessados no CobiT Gerente Executivo Complementar o modelo de controles internos existente e estabelecer uma linguagem comum entre as áreas de negócios e TI. Gerente de Negócios Usar os objetivos de controle como uma boa prática para lidar com TI dentro da função de negócios e definir acordos de níveis de serviços. Gerente de TI Estabelecer Acordos de Níveis de Serviços, medidas de desempenho e normas relacionadas à TI. Gerente de Projetos Ajudar a assegurar que os planos de projetos incorporem fases geralmente aceitas. Desenvolvedor Assegurar que todos os objetivos de controle aplicáveis no desenvolvimento de projetos foram enderaçados. Usuários Ajudar na definição dos Acordos de Níveis de Serviços. Security Officer Estruturar as políticas e procedimentos de segurança da informação. Auditoria Usar como critério para revisão e exame das auditorias relacionadas com TI. 2.3. Produtos do CobiT Explica como o CobiT organiza os objetivos da Governança de TI e Framework melhores práticas através de domínios e processos, e os relaciona aos requerimentos de negócios. Provê as práticas genéricas de gerenciamento de objetivos para todas Objetivos de Controle as atividades de TI. Provê direcionamento em como os controles são implantados e porque Práticas de Controle implantá-los. Guia de Garantia da Provê uma aproximação genérica para auditoria e direcionamento de TI suporte a auditorias de todos os processos de TI do CobiT. Objetivos de controle Direcionamento para garantir conformidade para o ambiente de TI, de TI para Sarbanes- baseando nos objetivos de controle do CobiT. Oxley Guia de Provê um road map genérico para implementar Governança de TI Implementação de usando os recursos do CobiT e um kit de ferramentas de suporte. Governança de TI CobiT Security Foca a organização nos passos essenciais para implantação da Baseline segurança da informação na empresa. Apresenta informações do Cobit na web, possibilitando que vários usuários pesquisem, compartilhem e utilizem sua base de CobiT Online conhecimento, documentos de benchmark, análise de gap e roadmaps. disponível em: www.isaca.org. Versão resumida dos recursos do CobiT. É focado nos processos de TI, objetivos de controle e métricas. Direcionado para empresa de CobiT QuickStart pequeno e médio porte. Disponível a partir do CobiT online na internet.
  • 5. 2.4. Modelo de Maturidade Segundo o CobiT 4.0 (2005), o modelo de maturidade é usado para definir o perfil da empresa em relação aos controles adotados para os processos de TI. Ele classifica os processos numa escala de números inteiros de 1 a 5, baseada no modelo elaborado pelo Software Engineering Institute para avaliar a função de desenvolvimento de sistemas. Este modelo fornece um método de avaliação para cada um dos 34 processos de TI, definidos pelo CobiT, de forma que a organização possa se enquadrar em uma escala mensurável. A seguir (Figura 3) apresentamos os níveis de maturidade considerados e suas definições: (Figura 3 – Adaptação: CobiT 4.0, 2006) 3. PRIMEIRO DIAGNÓSTICO DE MATURIDADE DOS PROCESSOS DE TI Em 2005 iniciou-se o trabalho de Diagnóstico de Maturidade dos processos de TI com base no CobiT – guia de melhores práticas, aplicada pela empresa de consultoria BIG-FIVE, com apoio da assessoria da DITEC. As atividades foram conduzidas em Brasília, na Administração Central dos Correios, e grande parte das informações foi obtida por meio de entrevistas com os principais gestores de TI, análise de documentos e uso de questionários específicos relacionados aos 4 domínios do CobiT 3.0: Planejamento e Organização (PO), Aquisição & Implementação (AI), Entrega & Suporte (DS) e Monitoramento (M). Perfazendo-se um total de 34 processos de TI e 318 objetivos de controle avaliados e medidos. Abaixo (Figura 4) é apresentado o resultado geral do Diagnóstico de Maturidade dos processos de TI da ECT levantados, de acordo com a metodologia CobiT e comparados ao mercado (benchmarking), considerando os dados disponíveis e atualizados do CobiT Online, que possui informações atualizadas sobre empresas divididas por setor, tamanho, número de funcionários etc. Com o resultado do Diagnóstico de Maturidade também foi possível identificar que os processos da área de TI da ECT apresentam nível de maturidade superior ou equivalente aos das empresas nacionais e internacionais constantes da base de dados da ISACA. O diagnosticou apontou que dois processos (PO08 e PO09), menos de 6%, estão abaixo da média. Outros 23% dos processos superaram a média internacional, são eles: PO1, PO2, AI3, AI4, DS8, DS12, DS13 e M4.
  • 6. Nível de Maturidade - Domínio Planejamento e Organização Aquisição & Implementação Entrega & Suporte Monitoramento 0 1 2 3 4 5 Correios Americas e Europa (Figura 4 – Adaptação: Diagnóstico de Maturidade ECT – BIGFIVE, 2005) 4. IMPLANTAÇÃO DA METODOLOGIA PADRONIZADA COBIT DE GESTÃO DE TI Não obstante o Diagnóstico de Maturidade, ter apresentado resultado superior ou equivalente à média internacional, a DITEC entendeu como necessário atingir melhoria nos 26 processos identificados com nível de maturidade 1 e 2, elevando-os para o nível de maturidade 3. Conforme o CobiT 4.0 (2005), no nível de maturidade 3 os processos devem ser padronizados, documentados e comunicados e, coube a uma equipe específica da DITEC, que trabalha exclusivamente com Governança de TI, identificar os meios para elevação dos processos selecionados. Para que houvesse a identificação dos processos mais críticos para efetivação de melhorias, foram realizados trabalhos de alinhamento dos objetivos de negócio da organização, originados no BSC Corporativo, com os objetivos e processos de TI do CobiT 4.0. Também foram desenvolvidas atividades de análise de riscos, que originaram várias discussões de viabilidade de atuação dos departamentos da DITEC na estruturação de um Plano de Melhoria, bem como justificativas para sua realização. Como resultado deste trabalho foram selecionados, inicialmente, 13 processos prioritários baseados na metodologia CobiT 4.0. A meta atual da DITEC é que após a implementação deste Plano de Melhoria dos 13 processos selecionados, haverá um trabalho contínuo de acompanhamento e implementação de melhoria nos processos de TI da organização, através de atividades de identificação de processos prioritários, manutenção dos processos que já se encontram com nível de maturidade considerado adequado à organização e realização de Diagnóstico de Maturidade através de consultoria externa de dois em dois anos. Criando, assim, um processo contínuo de melhoria, semelhante a um ciclo de melhoria PDCA dado ser reconhecido como um instrumento valioso de controle e melhoria de processos das organizações, Souza & Mekbekian (1993). A adaptação do método PDCA em relação à estrutura dos processos e controles do CobiT (Figura 6), com o intuito de efetivação de melhoria contínua dos processos pode ser verificada a seguir.
  • 7. (Figura 6 – Adaptação: CobiT 4.0) 5. PLANO DE MELHORIA 5.1. Premissas e Barreiras Impacto caso a Premissa não seja Premissa verdadeira Apoio da DITEC no direcionamento do Perda de prioridade do projeto em relação à trabalho. organização, com conseqüente falta de apoio na sua concretização. Existência de uma equipe interna da A falta de dedicação do grupo de melhoria irá Coordenação de Arquitetura de Gestão trazer atrasos no cronograma ou a paralisação de TI dedicada ao projeto de melhoria. do projeto. Alta competência dos consultores A inexistência de tal premissa colocará em externos no planejamento e execução risco a qualidade final do trabalho. das atividades. Barreira Estratégia para Redução da Barreira Falta de apoio dos departamentos em Será elaborada uma iniciativa motivacional disponibilizar pessoal para apoiar a por parte da DITEC. atividade de Diagnóstico de Maturidade. Falta de pessoal técnico especializado Contratação e treinamento de novos nos departamentos para dar funcionários de acordo com as necessidades continuidade as atividades definidas no definidas no Plano de Melhoria. Plano de Melhoria.
  • 8. 5.2. Objetivos Os objetivos de negocio da ECT que direcionam o Plano de Melhoria são: Financeiro: Redução dos custos direcionados aos serviços de TI; Melhorar a possibilidade de tomada de decisões de investimentos em TI. Cliente: Melhoria da satisfação com os serviços prestados; Tecnologia da Informação: Melhoria dos processos abaixo. Processo Objetivo PO3 – DETERMINAR O Alinhar o Plano Diretor de TI ao Planejamento Estratégico da DIRECIONAMENTO ECT. Devendo tratar sobre: Arquitetura de sistemas, TECNOLÓGICO direcionamento tecnológico, estratégia de migração e aspectos de contingência de componentes de infra-estrutura. PO6 - COMUNICAR Conscientizar a empresa sobre a importância do Plano de Infra- DIRETIVAS E METAS estrutura de TI. GERENCIAIS PO7 - GERENCIAR OS Definir um plano de gerenciamento de recursos humanos. RECURSOS HUMANOS DE TI PO9 - AVALIAR E Criar processo de identificação, avaliação e mensuração de GERENCIAR RISCOS DE TI riscos, evidenciando a probabilidade de ocorrência e o impacto dos mesmos. PO10 - GERENCIAR Estabelecer, manter e divulgar a metodologia de Gerenciamento PROJETOS de Projetos. Definir estrutura de Gerenciamento de Portfólio para os investimentos de TI. AI4 - PERMITIR OPERAÇÃO Definir método que trate sobre documentação e acesso aos E USO manuais operacionais e materiais de treinamento. AI6 – GERENCIAR Implantar procedimento formal de Gestão de Mudanças, que MUDANÇAS inclua categorização, priorização, procedimentos de emergência, parâmetros de sistemas, base da plataforma, autorização de mudanças e gerência de versão. DS1 - DEFINIR E Definir processo para formalizar a gerência de nível de serviço GERENCIAR NÍVEIS DE entre cliente e provedor de serviço. SERVIÇO DS2 – GERENCIAR Formalizar as políticas e procedimentos relacionados ao SERVIÇOS TERCEIRIZADOS gerenciamento de terceiros. DS6 - IDENTIFICAR E Criar Modelo de custos de serviços de informática definido e DESTINAR CUSTOS documentado na organização. DS7 - EDUCAR E TREINAR Criar programa de treinamento bem institucionalizado, USUÁRIOS padronizado e comunicado. Os treinamentos deverão ser monitorados. DS11 – GERENCIAR DADOS Definir e implementar procedimentos que assegurem a integridade e consistência de todos os dados armazenados eletronicamente como bases de dados, DW’s e arquivos; ME4 – PROVER Implementar modelo de Governança de TI na organização GOVERNANÇA DE TI através da criação de controles e procedimentos.
  • 9. 5.3. Atividades a serem realizadas durante o Plano de Melhoria: Diagnóstico do nível de maturidade dos 13 processos de TI selecionados. Atribuição do nível de maturidade em conformidade com as melhores práticas e Fase 1 comparação com a média de mercado. Nesta fase será identificada como a TI gerencia seus processos e o quanto está integrada aos objetivos de negócio. GAP Analysis – Mapeamento do nível de maturidade a ser atingido pela ECT (meta estratégica) e o nível de maturidade baseado nas melhores práticas Fase 2 (quando disponível). Plano de melhoria – Implementação dos controles detalhados para melhoria dos Fase 3 13 processos de TI selecionados, segundo o CobiT 4.0. 5.4. Estrutura organizacional (Figura 7 – Escopo Organizacional) 5.5. Escopo de Processos O escopo do Plano de Melhoria está limitado aos seguintes processos baseados na metodologia CobiT 4.0: DOMINIO Impacto caso a Premissa não seja verdadeira Planejamento e Organização PO3 - Determinar o direcionamento tecnológico PO6 - Comunicar objetivos e metas gerenciais PO7 - Gerenciar os recursos humanos PO9 – Avaliar e gerenciar riscos PO10 - Gerenciar projetos Aquisição e implementação AI4 - Habilitar operação e uso AI6 - Gerenciar mudanças Entrega e Suporte DS1 - Definir e gerenciar níveis de serviço DS2 - Gerenciar serviços terceirizados DS6 - Identificar e alocar custos DS7 - Educar e treinar usuários DS11 - Gerenciar dados Monitoramento e Avaliação ME4 - Prover governança de TI
  • 10. 5.6. Produtos gerados no Plano de Melhoria Questionário Script de Avaliação do Processo: usado no direcionamento das entrevistas (Figura 10) junto aos responsáveis e envolvidos nos processos. O questionário deve explorar as necessidades para avaliação do nível de maturidade de cada objetivo de controle, pontuando conforme o modelo de nível de maturidade (0 a 5). No final da avaliação dos objetivos de controles somará o nível de maturidade encontrado em cada objetivo de controle e dividir pelo número de objetivos de controle existente no processo para identificar o nível de maturidade do processo avaliado. (Figura 10 – Questionário Script de Avaliação dos Processos) Questionário de Entendimento do Processo: usado durante as entrevistas para auxiliar na identificação do nível de maturidade dos objetivos de controles (Figura 11). (Figura 11 – Questionário de Entendimento do Processo) Questionário de Avaliação do Processo: Baseado no resultado obtido através da aplicação dos questionários de script de avaliação do processo e o de entendimento do processo (Figura 12).
  • 11. (Figura 12 – Questionário de Avaliação do Processo) Relatório de Diagnóstico de Maturidade: abrangendo os 13 processos de TI selecionados. Serão abordados: • O nível de maturidade atual de cada processo; • Comparação com o padrão de mercado, melhores práticas e definição da meta estratégica com base nos dados disponibilizados pela ISACA através do CobiT Online. Relatório de recomendações de melhoria: apresentando os esforços e ações que devem ser implementados nos processos para atingir nível de maturidade superior, se necessários. Plano de melhoria: contendo Mapeamento de processos de TI, formulários, procedimentos e controles necessários para implementação de melhoria nos processos avaliados. Relatório de implementação de melhoria: identificando a implementação de melhorias efetivadas. 5.7. Possíveis riscos Risco Potenciais formas de Mitigação e Contingência 1. Falta de apoio da Diretoria Mitigação: Relatórios periódicos para a diretoria para informar os avanços do Plano de Melhoria. Contingência: Escalar a Diretoria em reunião mensal ou pontual. 2. Falta de interesse ou Mitigação: disponibilidade dos 1) Trabalho de conscientização da importância do Plano de Melhoria nos Departamentos envolvidos no departamentos envolvidos; Plano de Melhoria de 2) Relatórios periódicos para os departamentos informando sobre os avanços no Processos. Plano de Melhoria. Contingência: Escalar os Departamento em reunião mensal ou pontual. 3. Falta de proficiência dos Mitigação: Informar contratada sobre o ocorrido, mostrar impacto no consultores externos. desenvolvimento dos trabalhos contratados e exigir melhorias. Contingência: Levantar possibilidade de troca de consultores, medindo impacto da ocorrência.
  • 12. 6. CONCLUSÃO A utilização de um modelo de Governança de TI numa organização, mais especificamente o CobiT, é normalmente implementada com a expectativa de melhorar os processos de TI da organização, para obtenção do alinhamento da área de TI com o negócio, além da entrega de valor à organização, redução de custos com a área de TI, maior segurança, conformidade com normas regulatórias e manutenção e disponibilidade dos serviços de TI. O CobiT trata de todas essas iniciativas, além de propiciar integração com outros frameworks de Governança mais específicos, como a ISO 17799 (Segurança da Informação), ITIL (disponibilidade de serviços) e CMM/CMMI (qualidade de software), entre outros. Porém, o anseio por alcançar sucesso na área de TI com a utilização de framework que dita “O que fazer” mas não “O como fazer” deve ser tratado com certa cautela. Primeiramente, é preciso lembrar que o CobiT não é um padrão de mercado da área de TI, mas sim, um sumário de melhores práticas, necessitando que a empresa consiga identificar, dentro do seu contexto de atuação de mercado, cultura, objetivos estratégicos, conformidades com leis e regulamentos e estrutura da área de TI, quais controles ditados pelo framework melhor atendem às necessidades e realidade da organização. No caso da utilização do CobiT na Empresa Brasileira de Correios e Telegráfos não foi diferente. A empresa procurou não pular etapas e desenvolveu pesquisas sobre as reais possibilidades de agregação de valor do framework ao negócio da organização. E só agora, com maior entendimento e maturidade do resultado de todos os trabalhos efetuados, tem domínio em efetivar melhorias contínuas em seus processos, através de uma estrutura cíclica e ordenada de melhoria. A organização entende que o CobiT, utilizado em conjunto com outros frameworks, padrões e melhores práticas, está agregando valor aos variados negócios da ECT. 7. REFERÊNCIAS ITGI – IT GOVERNANCE INSTITUTE. COBIT 4.0. Rolling Meadowns, IL 60008 USA SOUZA, R. & MEKBEKIAN, G. Metodologia de gestão da qualidade em empresas construtoras. In: ENTAC93 – ENCONTRO NACIONAL DE TECNOLOGIA DO AMBIENTE CONSTRUÍDO. São Paulo, 1993. CAMPOS, V., F. Gerenciamento pelas Diretrizes. Belo Horizonte: Fundação Christiano Ottoni, da Universidade Federal de Minas Gerais, 1996. FUSCO, CAMILA. Computerworld. Correios aderem à versão 4.0 do CobiT. Disponível em: <http://computerworld.uol.com.br/governanca/2006/08/04/idgnoticia.2006-08- 04.9213790807/IDGNoticia_view>. Acessado em 14/08/2006. FUSCO, CAMILA. Computerworld. Versão 4.0 do framework é ferramenta útil para companhias que precisam se adequar a normas regulatórias como Sarbanes-Oxley. Disponível em: http://computerworld.uol.com.br/governanca/2006/06/05/idgnoticia.2006-06- 05.2040710799/IDGNoticia_view. Acessado em 08/08/2006 BIG FIVE CONSULTING – Diagnóstico de maturidade dos processos de TI da ECT com base no CobiT. Brasília, 2005.